Стеганография: что это, методы и защита от атак

Стеганография — это методы сокрытия самого факта передачи или хранения информации, а не её содержимого. Постороннему наблюдателю сообщение должно быть незаметно вовсе: файл с встроенными скрытыми данными выглядит как обычная фотография, аудиозапись или сетевой пакет, и без знания метода никто не станет искать в нём что-то ещё, кроме заявленного содержимого.

Термин происходит от греческих слов «steganos» — скрытый, покрытый — и «graphein» — писать; буквально «тайнопись». Технику как систематический предмет описания принято отсчитывать от трактата «Steganographia» Иоганна Тритемия, написанного на рубеже XV–XVI веков, хотя сама идея прятать сообщения — от невидимых чернил до татуировки на бритой голове гонца — известна с античности.

Область применения не ограничена атаками. Стеганографию используют легально: для цифровых водяных знаков и защиты авторских прав на изображения и видео, для скрытой маркировки документов, в отдельных сценариях конфиденциальной связи. Проблемой для информационной безопасности техника становится тогда, когда её применяют для сокрытия вредоносной нагрузки, канала управления заражённой машиной или кражи данных.

Криптография скрывает содержимое сообщения, но не факт его передачи; стеганография скрывает сам факт передачи, оставляя содержимое видимым, только не как сообщение. Зашифрованный текст выглядит как зашифрованный текст — само его наличие уже привлекает внимание. Стегоконтейнер выглядит как обычный файл, и наблюдатель, не знающий метода, вообще не заподозрит, что внутри что-то спрятано.

На практике методы не конкурируют, а дополняют друг друга: данные сначала шифруют — подробнее в материале о шифровании, — а затем встраивают в контейнер. Так остаётся защита даже если сам факт скрытой передачи обнаружат: извлечённые данные всё равно нечитаемы без ключа шифрования.

Стеганография vs криптография: сравнение по критериям

Ниже — пять критериев, по которым эти понятия расходятся сильнее всего.

↔ таблицу можно прокрутить вбок

Стеганографию делят по типу контейнера и способу встраивания: цифровая — LSB в изображениях, аудио и видео, метаданные файлов, сетевая стеганография в заголовках пакетов, — лингвистическая и аппаратная. В атаках, которые видит информационная безопасность, практически всегда речь о цифровой стеганографии — остальные виды встречаются заметно реже и в основном в исследовательском контексте.

Вредоносное ПО использует стеганографию, чтобы спрятать полезную нагрузку или трафик управления внутри обычных на вид файлов — так вредоносный код проходит мимо средств защиты, которые анализируют файл как изображение или документ, а не как контейнер с посторонними данными. У этой техники в атаках два основных сценария применения.

• Доставка полезной нагрузки и трафик управления. Вредоносный код или команды для заражённой машины прячут внутри изображения, которое размещают на легитимном на вид хостинге или в социальной сети. Загрузка такого файла не выглядит подозрительной для сетевого трафика — обращение к обычному изображению не похоже на канал управления заражённой машиной. Извлечение и запуск спрятанного кода происходит уже на стороне заражённого устройства с помощью отдельного компонента вредоносного ПО.
• Эксфильтрация данных в обход DLP. Похищенные данные кодируют внутри выходящего файла — изображения, документа, — чтобы обойти системы контроля утечек, которые ищут признаки конфиденциальной информации по ключевым словам или шаблонам в тексте, но не анализируют статистику байтов внутри медиафайла на предмет постороннего содержимого.

В целенаправленных атаках, включая кампании, которые относят к APT, стеганографию применяют как один из элементов более длинной цепочки — способ снизить заметность канала связи с заражённой инфраструктурой на протяжении длительного присутствия в сети жертвы, а не как единственное средство компрометации.

Обнаружить стеганографию сложнее, чем вредоносный код в открытом виде: стегоанализ ищет не сигнатуру угрозы, а статистические аномалии — отклонение в распределении младших бит, несоответствие размера файла его визуальному содержимому, следы повторного сжатия. Полностью исключить риск ни один отдельный инструмент не может — задачу закрывают в комбинации.

• DLP с анализом вложений. DLP-система, которая проверяет не только текстовое содержимое исходящих файлов по ключевым словам, но и структуру и статистику самого файла, повышает шанс заметить аномалию, характерную для встроенных данных, прежде чем файл покинет периметр организации.
• Песочница. Песочница запускает подозрительный файл в изолированной среде и отслеживает его реальное поведение — если из изображения после открытия извлекается и исполняется посторонний код, это видно по поведению процесса, даже когда сам файл прошёл сигнатурную проверку антивируса без срабатываний.
• Контроль сетевого трафика. Для сетевой стеганографии профильная защита — анализ трафика на предмет нетипичного заполнения полей заголовков и аномальных временны́х интервалов между пакетами, а не проверка содержимого файлов.